Comment masquer les numéros de version de Nginx et PHP sur un serveur LEMP

• Déterminer la visibilité actuelle des numéros de version
• Masquer le numéro de version de Nginx
• Masquer le numéro de version de PHP

Si vous exécutez un ou plusieurs sites Web basés sur la pile LEMP, une mesure de sécurité pratique consiste à masquer les numéros de version de Nginx et PHP. Cela empêcherait les pirates d'utiliser des failles de sécurité spécifiques à la version pour attaquer vos serveurs.

Voyons comment implémenter cette mesure sur une instance de serveur Vultr WordPress basée sur la pile LEMP. Toutes les instructions de cet article doivent également s'appliquer aux autres applications Vultr basées sur LEMP.

Déterminer la visibilité actuelle des numéros de version

curl -I [your-server-IP]:80

Ensuite, vous verrez le résultat, qui ressemble à:

HTTP/1.1 200 OK
Server: nginx/1.10.0
Date: Fri, 06 May 2016 04:11:38 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/5.6.20
Link: <http://[your-server-IP]/wp-json/>; rel="https://api.w.org/"

Comme vous le voyez, sur mon serveur, le numéro de version de Nginx est 1.10.0 et le numéro de version de PHP est 5.6.20.

Masquer le numéro de version de Nginx

Afficher les détails de configuration de Nginx:

nginx -V

Parmi ces paramètres, trouvez le paramètre "--conf-path" qui définit l'emplacement du fichier de configuration Nginx:

--conf-path=/etc/nginx/nginx.conf

Modifiez le fichier de configuration Nginx avec vi:

sudo vi /etc/nginx/nginx.conf

Ajoutez une phrase de configuration server_tokens off;dans le http { }segment:

http {
    ... 
    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    server_tokens  off;    #<= The sentence is added Here.

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

Sauvegarder et quitter:

:wq

Modifiez le fichier de configuration fastcgi:

sudo vi /etc/nginx/fastcgi_params

Remplacez la ligne:

fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;

Avec:

fastcgi_param  SERVER_SOFTWARE    nginx;

Sauvegarder et quitter:

:wq

Masquer le numéro de version de PHP

Modifiez le fichier de configuration PHP:

sudo vi /etc/php.ini

Trouvez la ligne:

expose_php = On

Modifiez-le en:

expose_php = Off

Sauvegarder et quitter:

:wq

Enfin, mettez vos modifications en vigueur:

sudo pkill php-fpm
sudo php-fpm
sudo service nginx restart

Vérifiez vos modifications:

curl -I [your-server-IP]:80

Les informations de version de Nginx et PHP ne sont plus visibles:

HTTP/1.1 200 OK
Server: nginx
Date: Fri, 06 May 2016 05:16:43 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Link: <http://[your-server-IP ]/wp-json/>; rel="https://api.w.org/"